CVE-2026-92402
ŚrednieCVSS 6.3Streszczenie
W systemie ChangeWeDer crm do wersji c07bd4c97141521af6475034bc58523beed51bbd wykryto lukę bezpieczeństwa w funkcji index pliku UserController.java komponentu top.upstudy.crm.controller.UserController. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie. Produkt nie używa wersjonowania, dlatego informacje o wersjach podatnych i niepodatnych są niedostępne; projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Atakujący zdalnie może uzyskać dostęp do funkcji bez wymaganej autoryzacji, co może prowadzić do nieuprawnionych operacji na danych użytkowników. Brak odpowiedzi ze strony projektu utrudnia ocenę zakresu i dostępność poprawki.
Rekomendacja
Ze względu na brak wersjonowania i odpowiedzi od projektu, zaleca się weryfikację kodu źródłowego pod kątem kontroli autoryzacji w UserController.java i wdrożenie własnych poprawek. Rozważyć ograniczenie dostępu do aplikacji z niezaufanych sieci do czasu rozwiązania problemu.
Inne podatności w ChangeWeDer crm
Zobacz wszystkie- CVE-2026-92418Niskie
W ChangeWeDer crm do wersji c07bd4c97141521af6475034bc58523beed51bbd wykryto podatność w nieznanym fragmencie kodu pliku src/main/resources/public/js/customerServe/customer.serve.js (komponent Save Endpoint). Manipulacja argumentem customerName powoduje cross-site scripting (XSS), a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-92401Wysokie
W ChangeWeDer crm do wersji c07bd4c97141521af6475034bc58523beed51bbd wykryto podatność w funkcji top.upstudy.crm.utils.LoginUserUtil.releaseUserIdFromCookie prowadzącą do nieprawidłowego uwierzytelniania. Atak można zainicjować zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in ChangeWeDer crm up to c07bd4c97141521af6475034bc58523beed51bbd. This issue affects the function index of the file UserController.java of the component top.upstudy.crm.controller.UserController. The manipulation results in missing authorization. The attack can be launched remotely. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.